Prácticas de IA en despachos: por qué tu IA de investigación jurídica es probablemente de riesgo mínimo
Prácticas de IA en despachos: la IA de investigación, e-discovery y revisión de contratos suele ser mínima, no de alto riesgo. Secreto, precisión, art. 50.
Probablemente mínima. Esa es la respuesta corta para la mayoría de la IA que usa un despacho de abogados privado, y sorprende a los abogados, que suponen que, como el Reglamento de IA de la UE enumera la «administración de justicia» como de alto riesgo, todo lo que hace la IA jurídica también debe serlo. No funciona así. El epígrafe de alto riesgo apunta a una autoridad judicial, no a la herramienta de investigación de un despacho privado. Las obligaciones reales de un despacho conforme al Reglamento de IA de la UE son más ligeras y distintas de lo que sugiere el titular, pero no son cero, y las que aprietan son las que los despachos tienden a pasar por alto.
Las «prácticas de IA» son una práctica de gestión, no una cláusula del Reglamento (UE) 2024/1689. Para un despacho, la labor de las prácticas es sobre todo clasificar correctamente la IA del despacho (y resistir la sobreclasificación), y después gestionar los deberes que de verdad se aplican: confidencialidad y secreto profesional, precisión y supervisión de alucinaciones, la regla de transparencia del artículo 50 y el deber de alfabetización en IA del artículo 4. Esta guía recorre esa línea.
La trampa de la administración de justicia
El anexo III, punto 8 vuelve de alto riesgo los sistemas de IA «destinados a ser utilizados por una autoridad judicial, o en su nombre» para investigar e interpretar hechos y normas y aplicar la ley a un conjunto concreto de hechos (y la IA usada en la resolución alternativa de litigios cuando los resultados tienen efectos jurídicos).
Lee las palabras: por una autoridad judicial, o en su nombre. La clasificación de alto riesgo se adhiere a la IA que usa un tribunal —o que alguien usa para un tribunal— para ayudar a decidir casos. Un despacho de abogados privado que hace su propia investigación jurídica, e-discovery o revisión de contratos para sus clientes no es una autoridad judicial y no actúa en nombre de una. Por tanto, sus herramientas de IA suelen caer fuera del anexo III, punto 8: son de riesgo mínimo conforme al Reglamento.
El caso límite a vigilar: la IA que un despacho construye u opera para un tribunal —por ejemplo, un sistema suministrado a un tribunal para apoyar la adjudicación, o una plataforma de RAL cuya IA configura resultados con efectos jurídicos— puede caer dentro del punto 8. Esa es la excepción, no la regla. Las herramientas cotidianas de abajo son la regla.
| Caso de uso de IA en despachos | Clasificación | Por qué |
|---|---|---|
| Investigación jurídica / búsqueda de jurisprudencia | Mínimo | Trabajo propio del despacho, no de una autoridad judicial |
| E-discovery / revisión de documentos (TAR) | Mínimo | Asiste al despacho; sin uso de autoridad judicial |
| Asistencia a la revisión y redacción de contratos | Mínimo | Consultivo interno; sin uso del anexo III |
| Predicción del resultado de litigios (uso propio del despacho) | Mínimo | Lo usa el despacho, no un tribunal ni para uno |
| IA suministrada a un tribunal para apoyar la adjudicación | Alto riesgo — anexo III pt 8 | Usada por / en nombre de una autoridad judicial |
| Chatbot jurídico de cara al cliente | Limitado — artículo 50 | Hay que decir al usuario que es una IA |
El mensaje práctico para un modelo de prácticas: no dejes que «administración de justicia = alto riesgo» asuste al despacho a una evaluación de la conformidad que no debe. La exposición es real en otra parte.
Dónde están las obligaciones reales
1. Confidencialidad y secreto profesional del abogado
Este es el deber que el Reglamento ni siquiera impone directamente, pero es el que debería dominar las prácticas de IA de un despacho. Alimentar material confidencial de clientes, documentos del asunto o datos personales en una herramienta de IA de un tercero plantea cuestiones de confidencialidad, renuncia al secreto profesional y RGPD (base lícita, términos de encargado, transferencias internacionales). Una herramienta generativa que retiene o se entrena con los prompts podría exponer contenido protegido por el secreto. El primer control del modelo de prácticas es una regla sobre qué puede introducirse en qué herramienta —herramientas aprobadas, términos contractuales de residencia de datos y de no entrenamiento, y una línea dura en torno a los datos protegidos por secreto y de categoría especial (artículo 9 del RGPD)—. Es un riesgo de conducta profesional y de protección de datos, superpuesto al Reglamento de IA, y es donde de verdad vive la reputación de un despacho.
2. Precisión y supervisión de alucinaciones
La IA jurídica generativa fabrica citas. Tribunales de varias jurisdicciones han sancionado a abogados por presentar autoridades inventadas por la IA. El Reglamento no vuelve de alto riesgo una herramienta de investigación por esto, pero los deberes profesionales de competencia y veracidad sí. El modelo de prácticas necesita una regla de verificación: el resultado de la IA es un borrador que un abogado cualificado debe cotejar con las fuentes primarias, nunca presentarse sin verificar. Es supervisión humana como disciplina profesional, no una obligación legal del artículo 14 (que se aplica a los sistemas de alto riesgo), pero la disciplina es la misma.
3. Transparencia del artículo 50 para las herramientas de cara al cliente
Si el despacho opera un chatbot de cara al cliente —triaje de admisión, un asistente de «haz una pregunta» en su web—, el artículo 50 exige que se diga al usuario que interactúa con un sistema de IA, salvo que sea obvio. Es una obligación de transparencia (un aviso claro), no una evaluación de la conformidad, y se aplica desde el 2 de agosto de 2026. Formalmente es un deber de diseño del proveedor del chatbot (artículo 50(1)): si el despacho usa la herramienta de un tercero, su tarea es comprobar que el aviso esté activo; si la construyó o la ofrece con su propia marca, el deber es suyo. Un incumplimiento se sitúa en el tramo de sanción de 15 M€/3% (artículo 99(4)). Para la mayoría de los despachos es un cambio de interfaz de una línea, fácil de pasar por alto.
4. Alfabetización en IA del artículo 4
El artículo 4 exige a proveedores y responsables del despliegue adoptar medidas para apoyar el desarrollo de la alfabetización en IA de su personal y de quienes usan la IA en su nombre; desde el 27 de julio de 2026 (Reglamento (UE) 2026/1744) ya no exige garantizar un nivel concreto de cada persona, pero sigue siendo una obligación. Está en vigor desde el 2 de febrero de 2025 y se aplica a toda la IA, no solo a la de alto riesgo, así que cubre el uso por el despacho de herramientas generativas de investigación y redacción hoy. Para un despacho esto significa un programa de formación de base: qué pueden y qué no pueden hacer las herramientas aprobadas, las reglas de confidencialidad, la regla de verificación y los límites del resultado generativo. Es una obligación presente, no trabajo futuro.
¿Proveedor o responsable del despliegue? Casi siempre responsable del despliegue
Un despacho que usa herramientas comerciales de IA jurídica (las plataformas establecidas de investigación jurídica, las herramientas de revisión de contratos, las suites de e-discovery) es un responsable del despliegue —aunque para una herramienta de riesgo mínimo las obligaciones del responsable del despliegue del artículo 26 (escritas para sistemas de alto riesgo) en gran medida no se aplican—. Los deberes del despacho vienen en cambio de la alfabetización del artículo 4, la transparencia del artículo 50 cuando es relevante y las reglas profesionales/RGPD.
Un despacho cruza al terreno de proveedor (artículo 16) solo si construye e introduce en el mercado un sistema de IA —por ejemplo, productizar una herramienta interna de análisis de contratos y venderla—. Y conforme al artículo 25, poner la propia marca del despacho en una herramienta de un tercero o modificarla sustancialmente también puede cambiar el papel. Para la inmensa mayoría de los despachos, nada de esto aplica: son responsables del despliegue de herramientas de riesgo mínimo, y sus prácticas tratan de confidencialidad, verificación, alfabetización y comunicación.
Ejemplo práctico: un despacho mercantil de tamaño medio
Lindqvist & Sørensen Advokatfirma —~140 abogados facturantes y personal, ~32 M€ de facturación, un despacho mercantil en Dinamarca y Suecia— usa tres herramientas de IA: una plataforma comercial de investigación jurídica con respuestas generativas, una suite de e-discovery/TAR para litigios y un chatbot de admisión en la web para consultas nuevas.
Su modelo de prácticas, ligero y centralizado:
- Propietario responsable: el general counsel / socio de riesgo del despacho, que ya asume el riesgo de conducta profesional y confidencialidad.
- Clasificación: la plataforma de investigación y la suite de e-discovery son de riesgo mínimo —el despacho las usa para su propio trabajo con clientes, no como autoridad judicial ni en nombre de un tribunal, así que el anexo III, punto 8 no aplica—. El chatbot de admisión es limitado del artículo 50.
- Los deberes que de verdad se aplican: (1) una política de confidencialidad/secreto sobre qué puede introducirse en cada herramienta, con términos contractuales de no entrenamiento y una exclusión de datos protegidos por secreto; (2) una regla de verificación —ninguna cita o análisis generado por IA va a un cliente o a un tribunal sin cotejar—; (3) transparencia del artículo 50 en el chatbot, activa desde el 2 de agosto de 2026; (4) formación de alfabetización en IA del artículo 4 para los abogados facturantes, ejecutada ya.
- Lo que no debe: sin documentación del artículo 11/anexo IV, sin evaluación de la conformidad del artículo 43, sin registro del artículo 49, sin EIDF del artículo 27, porque ninguna de sus herramientas es de alto riesgo.
La lección: las prácticas de IA de Lindqvist & Sørensen son reales y vale la pena hacerlas, pero son un programa de confidencialidad, precisión y alfabetización, no un proyecto de cumplimiento de alto riesgo. Sobreclasificar habría derrochado el tiempo del despacho y oscurecido el riesgo de secreto profesional que de verdad importa.
Los plazos que se aplican a un despacho
Para un despacho cuya IA es de riesgo mínimo, las fechas de alto riesgo son en gran medida irrelevantes, pero conviene enunciarlas para que un despacho pueda confirmar que queda fuera del ámbito. Los sistemas autónomos de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 conforme al Ómnibus Digital, aplazados desde el original 2 de agosto de 2026 —el paquete ya es ley: Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—. Las fechas que de verdad vinculan a un despacho típico son anteriores y ya están corriendo: la alfabetización del artículo 4 y las prohibiciones del artículo 5 (en vigor desde el 2 de febrero de 2025) y la transparencia del artículo 50 (desde el 2 de agosto de 2026).
Sanciones
Conforme al artículo 99: prácticas prohibidas del artículo 5 — 35 M€ o el 7% (99(3)); obligaciones de alto riesgo y fallos de transparencia del artículo 50 — 15 M€ o el 3% (99(4)); información incorrecta/engañosa a una autoridad — 7,5 M€ o el 1% (99(5)). El tercer tramo es el 1%, nunca el 1,5%. La mayoría de los despachos cumplen la definición de pyme, así que se aplica el límite del artículo 99(6) (la menor de la cifra porcentual o la fija) —un beneficio genuino de proporcionalidad, no una vía de escape—. Para un despacho de riesgo mínimo, la exposición realista es el tramo del artículo 50 en un chatbot de clientes, no el bloque de alto riesgo.
Cómo ayuda Confir
Confir recorre la admisión de un despacho por los puntos del anexo III en listas de comprobación en lenguaje llano, que es exactamente lo que frena la sobreclasificación de «administración de justicia»: confirma que las herramientas de investigación jurídica, e-discovery y revisión de contratos usadas para el trabajo propio del despacho son de riesgo mínimo, marca un chatbot de clientes como artículo 50 y saca a la luz el deber de alfabetización del artículo 4. La lógica es determinista y basada en reglas —misma entrada, mismo hallazgo, con la regla que se activó registrada—, de modo que un socio de riesgo puede mostrar por qué una herramienta se clasificó como se clasificó. Para el raro despacho que construye una herramienta para un tribunal, marca la vía del anexo III, punto 8.
Guías relacionadas
- Modelo operativo de prácticas de IA
- Cumplimiento de la IA en el sector jurídico
- IA de administración de justicia (anexo III pt 8)
- Requisitos de alfabetización en IA del artículo 4
- Transparencia de los chatbots del artículo 50
- La IA de riesgo mínimo explicada
- La intersección del RGPD y el Reglamento de IA de la UE
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →